En el sector fintech y los servicios financieros, la información privilegiada circula antes que los contratos. Una demostración de tecnología de pagos, una sesión de diligencia debida (due diligence) con un inversor o una conversación exploratoria con un socio bancario puede revelar en minutos lo que ha costado años construir. Cuando esa información sale sin cobertura jurídica, la oportunidad no solo se pierde: se entrega.
Las empresas fintech crean valor en intangibles. Sus activos no son maquinaria ni terrenos: son algoritmos de scoring crediticio, bases de datos de comportamiento financiero, arquitecturas de open banking, metodologías de cumplimiento regulatorio y relaciones con entidades bancarias. Todo eso puede transferirse en un PDF o en una presentación de ventas.
El error más frecuente que observamos en nuestra práctica es este: la empresa entra en una conversación de partnership o en una ronda de financiación, comparte materiales técnicos y comerciales sensibles, y firma el NDA varios días o semanas después. Para entonces, la información ya ha sido absorbida por la contraparte.
La secuencia correcta es la inversa. El NDA se firma antes de la primera reunión de contenido. No después de la presentación del producto. No al final del proceso de negociación. Antes. Y esto no es solo una preferencia de firma: es la única forma de que el acuerdo cubra toda la información intercambiada.
¿Qué ocurre si se omite este paso? La información compartida sin cobertura contractual puede no calificar como secreto empresarial protegible conforme a la legislación vigente. La jurisprudencia española ha consolidado el criterio de que la empresa debe adoptar medidas razonables para mantener el secreto; la ausencia de un NDA firmado antes del intercambio es, en muchos casos, prueba de que esas medidas no existían.
El secreto empresarial en España se protege a través de la legislación mercantil y, específicamente, de las normas que transponen la Directiva europea sobre secretos comerciales. Para que una información sea protegible como secreto, debe cumplir tres condiciones acumulativas: ser secreta (no de dominio público), tener valor empresarial derivado precisamente de su secreto, y haber sido objeto de medidas razonables para mantenerla reservada.
El NDA es la medida más directa y documentable para acreditar ese tercer requisito. Sin él, un tribunal o un árbitro tendrá dificultades para reconocer que la empresa ha tratado la información como reservada.
Pero el NDA no opera en el vacío. En el entorno fintech confluyen además otros marcos normativos que condicionan lo que se puede o no se puede comprometer en un acuerdo de confidencialidad:
En nuestra práctica hemos observado que las empresas fintech suelen ignorar este tercer punto. Un NDA entre dos plataformas de préstamos al consumo que comparten datos sobre tasas de impago o estrategias de precio puede generar problemas ante la Comisión Nacional de los Mercados y la Competencia (CNMC). El acuerdo de confidencialidad, bien redactado, delimita explícitamente qué información se intercambia y con qué finalidad, de forma que no sirva involuntariamente de canal de coordinación anticompetitiva.
Un NDA genérico descargado de internet puede tener validez formal. Su problema no es la forma: es que no cubre las situaciones específicas del sector financiero digital. Estas son las cláusulas que, en nuestra experiencia, marcan la diferencia entre un acuerdo ejecutable y uno que se queda en papel mojado.
La cláusula más importante del NDA es también la más descuidada. Una definición vaga ("toda información intercambiada entre las partes") genera disputas sobre si un dato concreto estaba o no cubierto. Una definición excesivamente estrecha ("únicamente los documentos marcados como CONFIDENCIAL") deja fuera la información verbal, las demostraciones de producto y los correos electrónicos informales.
Para una empresa fintech, la definición debe cubrir expresamente: algoritmos y modelos de puntuación o valoración, arquitecturas de sistemas de pago o de open banking, bases de datos de comportamiento de usuarios (siempre con la salvedad de cumplimiento con el RGPD), metodologías de cumplimiento regulatorio, roadmaps de producto, condiciones de relaciones con entidades bancarias o proveedores de infraestructura, y cualquier información relativa a negociaciones en curso.
La definición debe excluir igualmente de forma expresa lo que no es confidencial: información que era pública antes de la firma, información desarrollada de forma independiente por la contraparte (con carga de la prueba invertida), o información recibida legalmente de un tercero.
El NDA debe especificar para qué se intercambia la información. Esta cláusula cumple dos funciones. Primera, limita el uso que la contraparte puede hacer de lo que recibe. Segunda, define el perímetro del acuerdo a efectos de la normativa de competencia: si la finalidad es exclusivamente evaluar una posible alianza tecnológica, eso queda consignado y el intercambio de información no puede extenderse a otros ámbitos.
En el entorno fintech, las finalidades más habituales son: evaluación de una integración tecnológica, negociación de un acuerdo de distribución o de un contrato de licencia, proceso de inversión o adquisición, y exploración de una colaboración en el marco de un programa regulatorio (sandbox financiero).
La parte que recibe información debe asumir compromisos concretos y operacionales, no solo declaraciones de intención. Las obligaciones estándar incluyen: mantener la información con el mismo nivel de diligencia que usa para su propia información confidencial (con un mínimo razonable establecido), limitar el acceso interno a las personas que lo necesiten estrictamente para la finalidad acordada, no reproducir ni distribuir los materiales sin autorización previa, y notificar de forma inmediata cualquier acceso no autorizado o brecha que pudiera comprometer la información.
Esta última obligación conecta directamente con el régimen de notificación de brechas de seguridad a la Agencia Española de Protección de Datos (AEPD), que fija un plazo de 72 horas para notificar cuando la brecha afecta a datos personales. Un NDA bien redactado establece un plazo de notificación interna entre las partes consistente con esa obligación regulatoria.
Estos son dos conceptos distintos que con frecuencia se confunden. El plazo de vigencia del NDA es el período durante el cual las partes pueden intercambiar información cubierta por el acuerdo. La duración de la obligación de confidencialidad es el tiempo durante el cual la parte receptora está obligada a mantener el secreto, incluso después de que el NDA haya terminado.
En el sector fintech, los plazos de vigencia del intercambio suelen ser cortos (meses), pero la obligación de confidencialidad debe extenderse más allá. Para información que constituye secreto empresarial en sentido estricto, conviene establecer una duración indefinida o de varios años. Los plazos cortos (un año o menos) dejan la información desprotegida en el período en que todavía tiene valor competitivo.
Un NDA sin cláusula de remedios es un acuerdo de buenas intenciones. La parte divulgadora debe poder reclamar, como mínimo, la cesación inmediata del uso no autorizado, la destrucción o devolución de los materiales, y una indemnización de daños y perjuicios. Para que esto sea ejecutable en España, conviene que el acuerdo designe explícitamente los tribunales competentes o, si las partes lo prefieren, la vía arbitral.
En el marco del RGPD, si la brecha de confidencialidad implica datos personales, las obligaciones regulatorias se superponen a las contractuales. Un NDA bien estructurado anticipa esta dualidad y establece procedimientos de respuesta que cumplen simultáneamente con ambos regímenes.
Asesoramos con regularidad a equipos directivos de empresas fintech que afrontan negociaciones bajo presión de tiempo. La urgencia es real: los ciclos de inversión tienen ventanas cortas, los grandes bancos o procesadores de pagos imponen sus propios calendarios. Pero precisamente en ese contexto, las decisiones que se omiten generan los problemas más costosos.
Estas son las tres decisiones que la dirección debe haber tomado antes de firmar cualquier NDA:
¿Ha identificado su empresa cuáles de estos tres puntos están cubiertos en los NDA que habitualmente firma? En nuestra experiencia, la respuesta mayoritaria es que solo el tercero se revisa con cierto cuidado, y los dos primeros se delegan en la plantilla estándar de la contraparte.
El mito más extendido en el sector es este: con tener la marca registrada en España ya está todo protegido. No lo está. El registro de marca cubre el signo distintivo, no el conocimiento técnico, no las relaciones comerciales, no las metodologías de negocio. El alcance del registro, los contratos de licencia y la protección del secreto definen quién controla el intangible. Son tres instrumentos distintos que actúan sobre dimensiones distintas del activo.
Hemos protegido marcas, software y secretos empresariales de compañías tecnológicas e industriales, y la constante es siempre la misma: el coste de estructurar la protección al inicio de una operación es una fracción del coste de litigar o arbitrar después de una filtración.
En el sector fintech, las consecuencias de un NDA deficiente tienen además una dimensión regulatoria que no existe en otros sectores. Si la información filtrada incluye datos de clientes financieros, la empresa puede enfrentarse simultáneamente a una reclamación contractual de su contraparte, a una investigación de la AEPD por incumplimiento del RGPD, y a un requerimiento del supervisor financiero. Gestionar esas tres vías de forma aislada es significativamente más costoso que haberlas anticipado contractualmente.
El asesoramiento temprano permite también calibrar el nivel de exposición antes de entrar en la negociación. Una empresa que ha hecho ese trabajo sabe qué información puede compartir sin riesgo, qué información requiere cobertura contractual reforzada y qué información no debería compartirse en ningún caso, independientemente del NDA.
Puede encontrar más contexto sobre la protección de intangibles tecnológicos en nuestro área de Propiedad intelectual y tecnología, donde abordamos el régimen completo de marcas, patentes, secretos empresariales y contratos de licencia en el entorno digital.
En la práctica de nuestra firma, estos son los errores de redacción que aparecen con mayor frecuencia en los NDAs del sector fintech y que generan disputas o dejan la información desprotegida:
Los NDAs redactados bajo el Derecho inglés o norteamericano contienen referencias a remedios, estándares de daños y mecanismos procesales que no son directamente trasladables al Derecho español. Un NDA con cláusula de liquidated damages al estilo anglosajón puede resultar inaplicable ante un tribunal español. La adaptación no es solo lingüística: es sustantiva.
En el sector fintech, el conocimiento técnico reside frecuentemente en personas concretas. Un NDA que cubre la información pero no incluye una cláusula de no solicitud de empleados clave (non-solicitation) permite a la contraparte intentar contratar a los ingenieros o analistas que son portadores de ese conocimiento. Esta cláusula de no solicitud es jurídicamente distinta de una cláusula de no competencia (non-compete) y tiene un régimen de validez diferente en el Derecho laboral español.
En las colaboraciones tecnológicas, la información que recibe la contraparte puede utilizarse para generar información derivada: análisis, modelos entrenados, conclusiones técnicas. Si el NDA no cubre expresamente la información derivada, la parte receptora puede argumentar que sus propios desarrollos posteriores no están afectados por la obligación de confidencialidad. Este punto es especialmente relevante cuando se comparten datos de entrenamiento de modelos de inteligencia artificial o algoritmos de scoring.
El NDA no sustituye al registro de marca ante la Oficina Española de Patentes y Marcas (OEPM) ni a la protección de marca en la Unión Europea ante la Oficina de Propiedad Intelectual de la Unión Europea (EUIPO). Tampoco sustituye a un contrato de licencia bien estructurado cuando el objeto de la relación es el uso de tecnología propia. Son instrumentos complementarios. Una empresa que depende exclusivamente del NDA para proteger su intangible está infraprotegida.
Si su empresa está evaluando una alianza tecnológica o un proceso de inversión, nuestro análisis sobre el enfoque de la diligencia debida en operaciones industriales y tecnológicas, disponible en el dosier sobre due diligence sectorial, ofrece un marco complementario al NDA para la fase de evaluación.
Antes de firmar o proponer un NDA en el contexto fintech o de servicios financieros, la dirección jurídica o los asesores externos deben verificar que el documento contiene los siguientes elementos:
En operaciones transfronterizas donde la contraparte tiene su sede en otro Estado miembro de la Unión Europea o en una jurisdicción no comunitaria, coordinamos con abogados locales de confianza en la jurisdicción correspondiente para asegurar que el NDA sea ejecutable en ambos foros. Esta coordinación es especialmente relevante cuando el acuerdo debe ser ejecutable simultáneamente en España y en el Reino Unido, en Estados Unidos o en jurisdicciones del Sudeste Asiático, donde los regímenes de secreto empresarial difieren de forma sustancial del marco europeo.
Para una visión más completa de cómo estructurar los acuerdos contractuales en operaciones de transferencia de tecnología, le recomendamos revisar nuestro caso práctico sobre licencia de tecnología entre empresas, donde abordamos la interacción entre el NDA, el contrato de licencia y los derechos de propiedad intelectual subyacentes.
La redacción y negociación de NDAs en el sector fintech se enmarca en una práctica más amplia de protección y explotación de intangibles. En Velarde & Vidal asesoramos también en el registro de marca ante la OEPM y en procesos de marca UE ante la EUIPO, en la estructuración de contratos de licencia de software y de tecnología financiera, y en la implementación de programas de protección del secreto empresarial que complementan la cobertura contractual con políticas internas de gestión de la información. Si su empresa está en proceso de captación de inversión o de integración con un socio bancario, la coordinación de estos tres instrumentos desde el inicio del proceso es la estrategia más eficiente.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.